Sikkerhed og overholdelse

Den forkerte håndtering af faktornøglernes tilstand i funktionen til administration af multifaktorgodkendelse i Devolutions Server gør det muligt for en angriber, der kender en brugers adgangskode, at omgå den pågældende brugers multifaktorgodkendelse, efter at brugeren har konfigureret sine faktorer igen.

Utilstrækkelig autorisation i funktionen til gennemsyn af Active Directory i Devolutions Server gør det muligt for en godkendt bruger med lave privilegier at hente godkendelsesmateriale, der er knyttet til en tjenestekonto for en gemt PAM-udbyder, ved at videresende godkendelsen til en server, som angriberen kontrollerer.

Manglende autorisation i boksimportfunktionen i Devolutions Server gør det muligt for en godkendt bruger med lave privilegier at oprette nye bokse via en manipuleret importanmodning.

Manglende autorisation i funktionen til administration af poststatus i Devolutions Server gør det muligt for en godkendt bruger uden administratorrettigheder at omgå det administratorpålagte forløb »Afventer godkendelse« og få adgang til en posts data via en manipuleret anmodning om statusændring.

Utilstrækkelig adgangskontrol i funktionen til aktivitetslog for poster i Devolutions Server gør det muligt for en godkendt bruger med adgang til en post, men uden den påkrævede tilladelse, at hente den pågældende posts aktivitetslogge via en manipuleret API-anmodning.

Den forkerte håndhævelse af arbejdsprocessen for forseglede poster i funktionen til hentning af følsomme postdata i Devolutions Server gør det muligt for en godkendt bruger med adgang til en forseglet post at hente dens følsomme data uden at udløse revisionsnotifikationen ved ophævelse af forsegling via en manipuleret API-anmodning.

Manglende autorisation i funktionen til opdatering af brugerprofilen i Devolutions Server gør det muligt for en godkendt Active Directory-bruger at ændre attributterne på sin egen profil via en manipuleret API-anmodning.

Improper access control in the entry documentation and attachment features in Devolutions Server allows an authenticated user with vault read access to retrieve the documentation and attachments of sealed entries via a crafted API request.

Adgangskodeskift uden verifikation i Devolutions Server gør det muligt for en angriber at ændre en brugers adgangskode uden at angive den tidligere adgangskode via en manipuleret anmodning om adgangskodeskift.

Utilstrækkelig inputvalidering i forløbet for den eksterne godkendelsesudbyder i Devolutions Server gør det muligt for en ikke-godkendt fjernangriber at omdirigere ofre til et domæne, som angriberen kontrollerer, via et manipuleret logonlink.

Utilstrækkelig logning i posteksportfunktionen i Devolutions Server gør det muligt for en godkendt bruger med eksporttilladelser at eksportere en forseglet post uden at udløse notifikationen om ophævelse af forsegling over for administratorerne via en manipuleret eksportanmodning.

Autorisationsomgåelsen i postduplikeringsfunktionen i Devolutions Server gør det muligt for en godkendt bruger med skriveadgang til en vilkårlig boks at kopiere dokumentationen og de vedhæftede filer fra en post, der ligger i en boks, som brugeren ikke har adgang til, via en manipuleret gemmeanmodning.